اكتشفت رويترز أن آلاف تطبيقات الهواتف الذكية في متاجر أبل وجوجل على الإنترنت تحتوي على كود كمبيوتر طورته شركة التكنولوجيا Pushwoosh ، والتي تقدم نفسها على أنها مقرها الولايات المتحدة ، لكنها روسية بالفعل.
قالت مراكز السيطرة على الأمراض والوقاية منها (CDC) ، الوكالة الرئيسية في الولايات المتحدة لمكافحة التهديدات الصحية الرئيسية ، إنها خدعت للاعتقاد بأن Pushwoosh يقع في العاصمة الأمريكية. بعد أن علمت بجذورها الروسية من رويترز ، أزالت برنامج Pushwoosh من سبعة تطبيقات عامة ، مشيرة إلى مخاوف أمنية.
قال الجيش الأمريكي إنه أزال تطبيقا يحتوي على كود Pushwoosh في مارس بسبب نفس المخاوف. استخدم الجنود هذا التطبيق في إحدى قواعد التدريب القتالي الرئيسية في البلاد.
وفقًا لوثائق الشركة المقدمة علنًا في روسيا وراجعتها رويترز ، يقع المقر الرئيسي لشركة Pushwoosh في مدينة نوفوسيبيرسك السيبيرية ، حيث تم تسجيلها كشركة برمجيات تقوم أيضًا بمعالجة البيانات. توظف حوالي 40 شخصًا وأبلغت عن إيرادات قدرها 143،270،000 روبل روسي (حوالي 20 كرور روبية) العام الماضي. Pushwoosh مسجلة لدى الحكومة الروسية لدفع الضرائب في روسيا.
ووجدت رويترز أن الشركة تقدم نفسها على وسائل التواصل الاجتماعي وفي الإيداعات التنظيمية الأمريكية كشركة أمريكية ، يقع مقرها في أوقات مختلفة في كاليفورنيا وماريلاند وواشنطن العاصمة.
يوفر Pushwoosh دعم معالجة التعليمات البرمجية والبيانات لمطوري البرامج ، مما يمكّنهم من تحديد النشاط عبر الإنترنت لمستخدمي تطبيقات الهواتف الذكية وإرسال إشعارات دفع مخصصة من خوادم Pushwoosh.
وتقول شركة Pushwoosh على موقعها الإلكتروني إنها لا تجمع معلومات حساسة ، ولم تجد رويترز أي دليل على أن Pushwoosh أساء التعامل مع بيانات المستخدم. ومع ذلك ، أجبرت السلطات الروسية الشركات المحلية على تسليم بيانات المستخدم إلى وكالات الأمن المحلية.
قال مؤسس شركة Pushwoosh ، ماكس كونيف ، لرويترز في رسالة بالبريد الإلكتروني في سبتمبر / أيلول ، إن الشركة لم تحاول إخفاء أصولها الروسية. “أنا فخور بكوني روسيًا ولن أخفي هذا أبدًا”.
وقال إن الشركة “ليس لها صلة بالحكومة الروسية من أي نوع” وتخزن بياناتها في الولايات المتحدة وألمانيا.
قال خبراء الأمن السيبراني إن تخزين البيانات في الخارج لن يمنع وكالات الاستخبارات الروسية من إجبار شركة روسية على التخلي عن الوصول إلى تلك البيانات.
روسيا ، التي تدهورت علاقاتها مع الغرب منذ استيلائها على شبه جزيرة القرم في عام 2014 وغزو أوكرانيا هذا العام ، هي رائدة عالمية في القرصنة والتجسس الإلكتروني ، والتجسس على الحكومات والصناعات الأجنبية للحصول على ميزة تنافسية ، وفقًا لـ مسؤولون غربيون.
قاعدة بيانات ضخمة
تم تثبيت كود Pushwoosh في تطبيقات مجموعة واسعة من الشركات الدولية والمؤسسات غير الربحية المؤثرة والوكالات الحكومية من شركة السلع الاستهلاكية العالمية Unilever Plc واتحاد الاتحادات الأوروبية لكرة القدم (UEFA) إلى لوبي البندقية الأمريكي القوي سياسياً ، National Rifle جمعية (NRA) ، وحزب العمال البريطاني.
قال 10 خبراء قانونيين لرويترز إن عمل بوشووش مع الوكالات الحكومية الأمريكية والشركات الخاصة قد ينتهك قوانين العقود ولجنة التجارة الفيدرالية الأمريكية (FTC) أو يؤدي إلى فرض عقوبات. وامتنع مكتب التحقيقات الفدرالي وخزانة الولايات المتحدة ولجنة التجارة الفيدرالية عن التعليق.
وقالت جيسيكا ريتش ، المديرة السابقة لمكتب حماية المستهلك التابع للجنة التجارة الفيدرالية ، إن “هذا النوع من القضايا يقع في نطاق سلطة لجنة التجارة الفيدرالية” ، التي تتخذ إجراءات صارمة ضد الممارسات غير العادلة أو الخادعة التي تؤثر على المستهلكين الأمريكيين.
قال خبراء العقوبات إن واشنطن يمكن أن تختار فرض عقوبات على بوشووش ولديها سلطة واسعة لفعل ذلك ، بما في ذلك ربما من خلال أمر تنفيذي لعام 2021 يمنح الولايات المتحدة القدرة على استهداف قطاع التكنولوجيا الروسي بشأن النشاط السيبراني الخبيث.
تم تضمين كود Pushwoosh في ما يقرب من 8000 تطبيق في متاجر تطبيقات Google و Apple ، وفقًا لموقع Appfigures ، وهو موقع ويب لذكاء التطبيقات. يقول موقع Pushwoosh على الإنترنت أن لديه أكثر من 2.3 مليار جهاز مدرج في قاعدة البيانات الخاصة به.
قال جيروم دانجو ، الشريك المؤسس لشركة Confiant ، وهي شركة تتعقب إساءة استخدام البيانات التي تم جمعها في سلاسل التوريد الإعلانية عبر الإنترنت: “تقوم Pushwoosh بجمع بيانات المستخدم بما في ذلك تحديد الموقع الجغرافي الدقيق ، على التطبيقات الحساسة والحكومية ، والتي يمكن أن تسمح بالتتبع الغازي على نطاق واسع”.
وأضاف: “لم نعثر على أي علامة واضحة على وجود نية خادعة أو خبيثة في نشاط بوشووش ، وهو ما لا يقلل بالتأكيد من خطر تسريب بيانات التطبيق إلى روسيا”.
قالت Google إن الخصوصية كانت “محور تركيز كبير” للشركة لكنها لم تستجب لطلبات التعليق على Pushwoosh. قالت Apple إنها تأخذ ثقة المستخدم وسلامته على محمل الجد لكنها رفضت بالمثل الإجابة على الأسئلة.
وقال كير جايلز ، الخبير الروسي في مركز أبحاث تشاتام هاوس بلندن ، إنه على الرغم من العقوبات الدولية المفروضة على روسيا ، لا يزال “عدد كبير” من الشركات الروسية يتاجر في الخارج ويجمع البيانات الشخصية للأشخاص.
وقال إنه بالنظر إلى قوانين الأمن الداخلي الروسية ، “لا ينبغي أن يكون مفاجئًا أنه مع أو بدون روابط مباشرة بحملات التجسس الحكومية الروسية ، فإن الشركات التي تتعامل مع البيانات ستكون حريصة على التقليل من جذورها الروسية”.
“قضايا أمنية”
بعد أن أثارت رويترز روابط Pushwoosh الروسية مع مركز السيطرة على الأمراض ، قامت وكالة الصحة بإزالة الرمز من تطبيقاتها لأن “الشركة تمثل مصدر قلق أمني محتمل” ، كما قالت المتحدثة كريستين نوردلوند.
وقال نوردلوند في بيان “يعتقد مركز السيطرة على الأمراض أن بوشووش كانت شركة مقرها في منطقة واشنطن العاصمة.” وقالت دون الخوض في التفاصيل إن هذا الاعتقاد يستند إلى “تصريحات” قدمتها الشركة.
تضمنت تطبيقات CDC التي تحتوي على كود Pushwoosh التطبيق الرئيسي للوكالة وغيرها من التطبيقات التي تم إعدادها لمشاركة المعلومات حول مجموعة واسعة من المخاوف الصحية. كان أحدهما للأطباء الذين يعالجون الأمراض المنقولة جنسياً. بينما استخدم مركز السيطرة على الأمراض أيضًا إخطارات الشركة بشأن الأمور الصحية مثل COVID ، قالت الوكالة إنها “لم تشارك بيانات المستخدم مع Pushwoosh.”
وقال الجيش لرويترز إنه أزال تطبيقا يحتوي على بوشووش في مارس آذار متذرعا “بقضايا أمنية”. ولم يذكر مدى انتشار استخدام القوات للتطبيق ، الذي كان بوابة معلومات للاستخدام في مركز التدريب الوطني (NTC) في كاليفورنيا.
يعد NTC مركزًا رئيسيًا للتدريب القتالي في صحراء Mojave لجنود ما قبل النشر ، مما يعني أن اختراق البيانات هناك قد يكشف عن تحركات القوات الخارجية القادمة.
وقال المتحدث باسم الجيش الأمريكي برايس دوبي إن الجيش لم يتعرض لأي “خسارة تشغيلية للبيانات” ، مضيفًا أن التطبيق لا يتصل بشبكة الجيش.
قالت بعض الشركات والمؤسسات الكبيرة ، بما في ذلك UEFA و Unilever ، إن الأطراف الثالثة قامت بإعداد التطبيقات لهم ، أو اعتقدوا أنهم يستأجرون شركة أمريكية.
وقالت شركة Unilever في بيان: “ليست لدينا علاقة مباشرة مع Pushwoosh” ، مضيفة أنه تمت إزالة Pushwoosh من أحد تطبيقاتها “منذ بعض الوقت”.
وقال اليويفا إن عقده مع بوشووش كان “مع شركة أمريكية”. ورفض الاتحاد الأوروبي لكرة القدم الإفصاح عما إذا كان على علم بعلاقات بوشووش الروسية لكنه قال إنه يراجع علاقته مع الشركة بعد أن اتصلت به رويترز.
وقالت هيئة الموارد الطبيعية إن عقدها مع الشركة انتهى العام الماضي ، وإنها “ليست على علم بأي مشكلات”.
ولم يرد حزب العمال البريطاني على طلبات للتعليق.
قال زاك إدواردز: “البيانات التي يجمعها Pushwoosh تشبه البيانات التي يمكن جمعها بواسطة Facebook أو Google أو Amazon ، ولكن الفرق هو أن جميع بيانات Pushwoosh في الولايات المتحدة يتم إرسالها إلى خوادم تسيطر عليها شركة (Pushwoosh) في روسيا”. ، باحث أمني ، اكتشف لأول مرة انتشار كود Pushwoosh أثناء العمل في Internet Safety Labs ، وهي منظمة غير ربحية.
ولم ترد روسكومنادزور ، الجهة المنظمة للاتصالات الحكومية في روسيا ، على طلب من رويترز للتعليق.
عنوان وهمي ، ملفات شخصية مزيفة
في الإيداعات التنظيمية الأمريكية وعلى وسائل التواصل الاجتماعي ، لم تذكر Pushwoosh أبدًا روابطها الروسية. أدرجت الشركة “واشنطن العاصمة” كموقع لها على Twitter وتزعم أن عنوان مكتبها منزل في ضاحية كينسينجتون بولاية ماريلاند ، وفقًا لأحدث ملفات الشركات الأمريكية التي قُدمت إلى وزير خارجية ولاية ديلاوير. كما يسرد عنوان ماريلاند في ملفاته الشخصية على Facebook و LinkedIn.
منزل Kensington هو منزل صديق روسي لكونيف تحدث إلى صحفي من رويترز بشرط عدم الكشف عن هويته. قال إنه لا علاقة له بـ Pushwoosh ووافق فقط على السماح لكونيف باستخدام عنوانه لتلقي البريد.
وقال كونيف إن بوشووش بدأ في استخدام عنوان ماريلاند “لتلقي مراسلات تجارية” خلال جائحة فيروس كورونا.
قال إنه يدير الآن Pushwoosh من تايلاند لكنه لم يقدم أي دليل على أنه مسجل هناك. لم تتمكن رويترز من العثور على شركة بهذا الاسم في سجل الشركة التايلاندي.
لم تذكر شركة Pushwoosh أبدًا أنها كانت مقرها روسيا في ثمانية إيداعات سنوية في ولاية ديلاوير الأمريكية ، حيث تم تسجيلها ، وهو إغفال قد ينتهك قانون الولاية.
بدلاً من ذلك ، أدرجت Pushwoosh عنوانًا في Union City ، كاليفورنيا كمقر عمل رئيسي من 2014 إلى 2016. هذا العنوان غير موجود ، وفقًا لمسؤولي Union City.
استخدم Pushwoosh حسابات LinkedIn التي يُزعم أنها تنتمي إلى اثنين من المديرين التنفيذيين في واشنطن العاصمة ، وهما ماري براون ونوح أوشي لطلب المبيعات. لكن رويترز وجدت أنه لا براون ولا أوشي شخصان حقيقيان.
الشخص الذي ينتمي إلى براون كان في الواقع لمعلم رقص مقيم في النمسا ، التقطه مصور في موسكو ، وقالت لرويترز إنها لا تعرف كيف انتهى الأمر بها على الموقع.
واعترف كونيف بأن الروايات لم تكن حقيقية. وقال إن Pushwoosh استأجرت وكالة تسويق في 2018 لإنشائها في محاولة لاستخدام وسائل التواصل الاجتماعي لبيع Pushwoosh ، وليس لإخفاء الأصول الروسية للشركة.
وقالت لينكد إن إنها حذفت الحسابات بعد أن نبهتها رويترز.
© طومسون رويترز 2022
